Reducir la fricción sin comprometer la seguridad, ¿es posible?
La FCA (Financial Conduct Authority) ha eliminado el requisito de reautenticación cada 90 días para que los clientes accedan a los datos de su cuenta bancaria, como parte de las normas de la banca abierta (Open Banking). La norma consistía en pedir a los clientes que reautenticaran sus credenciales cada 3 meses, lo que se traducía en altas tasas de abandono. Sin duda, esto supone un gran alivio si pensamos en reducir la fricción en la experiencia de sus clientes. Aunque a los clientes se les seguirá preguntando si desean que continúe el intercambio de datos, no será tan tedioso ni molesto como tener que reautenticarse con tanta frecuencia.
Vamos a desglosarlo…
El Open Banking es un término o práctica que permite a proveedores de servicios financieros externos crear servicios en torno a los bancos mediante APIs abiertas. Por ejemplo, un monedero digital sería un proveedor externo (TPP, Third-Party Provider), mediante el cual un usuario conecta su cuenta bancaria y gestiona pagos y transacciones a través del monedero digital.
Cuando un cliente se conecta a un TPP, como un monedero digital, debe dar permiso al TPP para acceder a sus datos, usarlos y almacenarlos. Para ello, el cliente debe otorgar su consentimiento explícito para que el TPP se autentique con la institución financiera de su elección, como su banco. La institución financiera concederá entonces al TPP acceso a su cuenta, y el TPP podrá compartir de forma segura esa información con el proveedor fintech elegido por el consumidor.
Las autoridades querían asegurarse de que los consumidores fueran siempre conscientes de que sus datos se estaban compartiendo y, por ello, nació la norma de los 90 días. Sin embargo, en lugar de simplemente pedir al cliente que confirmara su consentimiento, se detenía el servicio a menos que el cliente reautenticara sus credenciales. Esto se tradujo, claramente, en experiencias de usuario poco amigables y llenas de fricción, que provocaban altas tasas de abandono. De ahí el último y muy bienvenido cambio de eliminar la norma de reautenticación, manteniendo únicamente el aviso de reautorización que recuerda rápidamente al cliente el intercambio de datos.
¡Viva la menor fricción! Pero ¿y el fraude?
Por muy positivo que sea eliminar esta interrupción, no podemos dar la espalda al nivel de riesgo que implica, ya que deja una puerta abierta por la que pueden colarse los defraudadores. El cliente está en el centro de todo esto, y ofrecer una experiencia sin fricción no debería comprometer su seguridad.
Los defraudadores de hoy utilizan sofisticados ataques multicapa para acceder a las credenciales e identidades de las personas, a través del phishing, el malware, los emuladores y otras técnicas de ingeniería social, por nombrar algunas. Una vez que las tienen, pueden pasar al fraude por apropiación de cuentas (Account Takeover), al fraude de cuentas nuevas (New Account) o incluso al fraude entre bancos (Cross-bank), con la consiguiente pérdida de confianza y de dinero.
Entonces, ¿cómo ofrecemos el equilibrio adecuado entre una experiencia de usuario amigable y la prevención de fraude? Como hemos aprendido, añadir más fricción con capas adicionales de autenticación no es la respuesta, así que la mejor manera de mitigarlo es encontrar una solución de prevención de fraude que pueda proteger a los clientes incluso si sus credenciales han sido robadas.
Con la tecnología de prevención de fraude de Paygilant, estas situaciones se evitarían, ya que se trata de una solución integral diseñada específicamente para combatir el fraude desde todos los ángulos. Esto significa que podemos garantizar que solo los usuarios legítimos han dado su consentimiento, y no los defraudadores que han logrado apropiarse de la cuenta o la identidad. Con su enfoque fintech y su tecnología mobile-first, detecta el fraude con precisión y posibilita una experiencia de usuario sin fricción, desde el arranque de la aplicación hasta las transacciones continuas, operando sin fisuras en tiempo real y respondiendo en milisegundos. Así que ahora ya sabes que sí existe: prevención de fraude y una experiencia de usuario fluida y sin fricción, todo en uno.
Fuentes:
https://plaid.com/blog/misconceptions-of-authentication-and-authorisation-why-90-day/
https://www.altfi.com/article/7934_why-we-need-to-rethink-the-90-day-rule